Microsoft Security Copilot

一个基于Python的MCP服务器项目，集成微软安全副驾驶和Sentinel，支持KQL查询、技能管理及认证。

安全开发者工具 #安全副驾驶 #Sentinel集成 #KQL查询 #技能管理 .Python

评分 : 2.5分

下载量 : 21

更新时间 : 2025-04-28

什么是Microsoft Security Copilot MCP服务器？

这是一个用于连接开发环境与Microsoft Security Copilot的桥梁工具。它允许您运行KQL查询、上传技能集、更新插件以及在Security Copilot中执行提示和技能。

如何使用Microsoft Security Copilot MCP服务器？

只需安装必要的依赖项并配置环境变量即可开始使用。通过简单的命令可以实现多种功能，例如执行KQL查询或上传技能集。

适用场景

该服务器非常适合需要频繁交互Security Copilot和Sentinel的工作流，比如安全分析师进行威胁检测、事件响应等任务。

主要功能

Sentinel集成可以直接在Microsoft Sentinel中运行KQL查询。

Security Copilot管理列出现有的技能集/插件；上传新的或更新已有的技能集/插件；在Security Copilot中运行提示或技能。

多认证方式支持提供多种身份验证选项，如浏览器登录、客户端密钥和托管身份。

优势与局限性

优势

简化Security Copilot和Sentinel之间的交互流程。

支持快速部署和测试技能集/插件。

灵活的身份验证机制满足不同需求。

局限性

需要Azure订阅和适当权限才能完全利用其功能。

某些高级功能可能需要额外配置。

如何使用

克隆仓库并安装依赖

首先从GitHub克隆项目代码，并安装所需的Python包。

创建配置文件

根据您的环境创建一个`.env`文件来存储必要的配置信息。

启动服务器

运行服务器脚本以开始服务。

使用案例

执行KQL查询演示如何从Sentinel中获取最近一周的安全事件。

上传新技能集展示如何将新的技能集添加到Security Copilot中。

常见问题

如何确保我的配置文件安全？

如果忘记密码怎么办？

🚀 安全Copilot和Sentinel MCP服务器

这是一个基于Python的MCP服务器，借助FastMCP库实现了与微软安全Copilot和微软Sentinel的集成，并通过Azure Identity进行身份验证。它就像一座桥梁，连接着开发环境与微软安全Copilot，支持技能和插件的测试、部署与执行。

🚀 快速开始

先决条件

Python 3.8+
微软Sentinel工作区
微软安全Copilot访问权限
对微软Sentinel和安全Copilot的适当Azure权限

安装步骤

克隆仓库：

git clone https://github.com/jguimera/SecurityCopilotMCPServer.git
cd SecurityCopilotMCPServer

安装依赖项：
```
pip install -r requirements.txt
```

创建一个.env文件，配置以下内容：

# 添加应用程序注册以使用客户端ID和密钥进行身份验证
# AZURE_TENANT_ID=你的租户ID
# AZURE_CLIENT_ID=你的客户端ID
# AZURE_CLIENT_SECRET=你的客户端密码
SENTINEL_SUBSCRIPTION_ID=你的订阅ID
SENTINEL_RESOURCE_GROUP=你的资源组
SENTINEL_WORKSPACE_NAME=你的工作区名称
SENTINEL_WORKSPACE_ID=你的工作区ID
# 身份验证选项：interactive、client_secret
AUTHENTICATION_TYPE=interactive

启动服务器

运行MCP服务器：

python server.py

在启动服务器前运行测试：

python server.py --run-tests

✨ 主要特性

Sentinel集成：在微软Sentinel中执行KQL查询
安全Copilot管理：
- 列出现有技能集/插件
- 上传新技能或更新现有技能
- 在微软安全Copilot中运行提示词或技能
身份验证支持：支持多种身份验证方法，包括交互式浏览器、客户端密码和托管标识

💻 使用示例

可用工具

MCP服务器提供的工具包括：

run_sentinel_query：在Sentinel中执行KQL查询
get_skillsets：列出安全Copilot中的技能集
upload_plugin：上传或更新一个技能集/插件
run_prompt：在安全Copilot中运行提示词或技能

MCP客户端配置（适用于Cursor）

你可以使用此MCP服务器从任何你选择的客户端进行操作。在此仓库中，你会发现用于Cursor的说明和配置文件。

在你的客户端项目中添加.cursor文件夹以启用MCP工具。该文件夹包含两个文件：

Cursor项目规则（securitycopilotdev.mdc）：此文件包含一些自定义Cursor规则，帮助代理理解用户提示词。
MCP客户端配置（mcp.json）：连接Cursor与MCP服务器的文件。

你可以通过/tool_name命令运行工具。例如：

/clean_code

在配置文件中指定所需的参数和凭据，以便工具能够正常工作。

📚 详细文档

概述

该项目实现了以下功能的MCP服务器：

在微软Sentinel中执行KQL查询
上传/更新微软安全Copilot技能集/插件
在微软安全Copilot中运行提示词或技能

该服务器充当开发环境与微软安全Copilot之间的桥梁，支持技能和插件的测试、部署和执行。它使用SSE作为传输层的MCP服务器。

当前集成有多种用途，其中最有趣的是支持安全Copilot KQL技能的开发、测试和部署。

代理流程1 代理流程2

路线图

接下来的功能将包括：

Promptbook测试和更新
在Defender XDR中运行高级狩猎查询

贡献指南

如果你希望为项目做出贡献，请按照以下步骤操作：

从主分支创建功能分支。
提交你的更改并创建拉取请求。
讨论你的更改，并根据反馈进行调整。
推送到主分支。

📄 许可证

本项目使用MIT许可证，具体内容如下：

 MIT License

Permission is hereby granted, free of charge, to any person obtaining a copy of this software and associated documentation files (the "Software"), to deal in the Software without restriction, including without limitation the rights to use, copy, modify, merge, publish, distribute, sublicense, and/or sell copies of the Software, and to permit persons to whom the Software is furnished to do so, subject to the following conditions:

The above copyright notice and this permission notice shall be included in all copies or substantial portions of the Software.

THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE.